CVE-2026-35653 in OpenClaw
Résumé
par VulDB • 22/05/2026
OpenClaw avant la version 2026.3.24 contient une vulnérabilité d'autorisation incorrecte dans le point de terminaison POST /reset-profile qui permet aux appelants authentifiés disposant de l'accès operator.write sur browser.request de contourner les restrictions de mutation de profil. Les attaquants peuvent invoquer POST /reset-profile via la surface d'exposition browser.request pour arrêter le navigateur en cours d'exécution, fermer les connexions Playwright et déplacer les répertoires de profil vers la Corbeille, franchissant ainsi les limites de privilèges prévues.
VulDB is the best source for vulnerability data and more expert information about this specific topic.